NIS2 vs ISO 27001: ¿Son Compatibles? ¿Cuál Necesito?

Si tu empresa está obligada por NIS2 y ya tiene ISO 27001, la pregunta lógica es cuánto de ese trabajo previo aprovechas. Muchas guías responden con un porcentaje concreto de cobertura; el problema es que ese porcentaje no sale de ninguna fuente oficial. Esto es lo que se puede afirmar con una fuente detrás y lo que no.

Estado legal (25/09/2026): NIS2 es una Directiva (UE) 2022/2555; España aún no ha publicado la ley que la transpone. El anteproyecto de 14/01/2025 sigue sin llegar al Congreso, y el 9 de julio de 2026 la Comisión Europea remitió a España, junto con Irlanda, Francia y Países Bajos, al Tribunal de Justicia de la UE por el retraso (expediente INFR(2024)0270).

Qué son NIS2 e ISO 27001

NIS2 es una directiva europea, obligatoria por ley para las entidades que entran en sus anexos I y II (energía, transporte, salud, infraestructura digital, administración pública, y muchos otros sectores), no una certificación. En España su exigibilidad concreta depende de la ley de transposición pendiente.

ISO/IEC 27001 es un estándar internacional voluntario. Certifica que una organización ha implantado un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a sus controles, mediante auditoría de un organismo certificador acreditado. No es una ley ni sustituye ninguna obligación legal.

La diferencia de fondo: NIS2 es una obligación legal con sanciones (art. 34) para quien entra en su ámbito; ISO 27001 es un estándar que se adopta voluntariamente y no lleva sanción legal directa por no tenerlo.

Por qué no existe un “70-80 %” oficial de cobertura

Es habitual encontrar la cifra de que ISO 27001 “cubre el 70-80 % de NIS2”. No hay ninguna fuente primaria —ni de la Comisión Europea, ni de ENISA, ni del propio texto de la Directiva— que calcule ese porcentaje. Lo que sí existe:

• ENISA publicó en junio de 2025 su Technical Implementation Guidance sobre las medidas de gestión de riesgos del art. 21 de NIS2, con una tabla que relaciona cada requisito de NIS2 con controles equivalentes de ISO/IEC 27001:2022, ISO/IEC 27002:2022, el NIST Cybersecurity Framework 2.0 y otros marcos.
• La propia guía de ENISA advierte que esa correspondencia no debe interpretarse como una medida de equivalencia entre marcos: relacionar un requisito con un control no significa que cumplirlo al nivel que exige ISO 27001 baste automáticamente para el nivel que exige NIS2, ni al revés.

Por eso, cualquier cifra cerrada de “cobertura” (70 %, 80 % o cualquier otra) no tiene respaldo verificable y no debería tratarse como un dato de planificación. Lo que sí es correcto decir: una organización con SGSI certificado bajo ISO 27001 ya tiene implantados procesos que también exige NIS2 en su enfoque general (análisis de riesgos, controles de acceso, gestión de incidentes, continuidad de negocio, formación), lo cual reduce trabajo, sin que eso equivalga a un porcentaje concreto de cumplimiento legal.

Dónde está la brecha real y documentable

A diferencia del porcentaje de cobertura, esta diferencia sí está en el propio texto de ambas normas:

1. Notificación obligatoria a una autoridad externa. ISO 27001 (control A.5.24-A.5.28 según ISO/IEC 27002:2022) exige gestionar y responder a incidentes, pero no exige notificar a ninguna autoridad pública. El artículo 23 de NIS2 sí obliga a notificar los incidentes significativos al CSIRT o a la autoridad competente que designe cada Estado, en los plazos de 24 horas (alerta temprana), 72 horas (notificación) y un mes (informe final). En España, qué autoridad y qué canal exactos no está fijado hasta que se publique la ley de transposición: ni INCIBE-CERT ni CCN-CERT han sido confirmados como el canal NIS2, aunque ambos operan CSIRT bajo el marco NIS1 actual.

2. Gestión de riesgos de la cadena de suministro como obligación expresa. El artículo 21.2.d) de NIS2 exige explícitamente evaluar la seguridad de la cadena de suministro y de las relaciones con proveedores. ISO 27001 lo trata dentro de sus controles de relación con proveedores, pero con menor especificidad legal.

3. Responsabilidad de la dirección. El artículo 20 de NIS2 exige que los órganos de dirección aprueben las medidas de gestión de riesgos y respondan de su incumplimiento, incluyendo formación específica. ISO 27001 exige compromiso de la dirección, pero sin la misma responsabilidad legal directa que impone NIS2.

Lo que NIS2 no especifica de forma explícita en su propio texto son periodos concretos de retención de logs en meses, ni plazos de “2-4 meses frente a 6-12 meses” para pasar de ISO 27001 a NIS2: esas cifras dependen del punto de partida de cada organización y no están en la Directiva ni en ninguna fuente que las sustente como regla general, por lo que no se pueden presentar como datos de planificación fiables sin un análisis de brecha propio.

¿Necesito NIS2, ISO 27001 o ambas?

Estás obligado a cumplir NIS2 si tu actividad entra en los anexos I o II de la Directiva —energía, transporte, agua, salud, infraestructura digital, administración pública, entre otros sectores— y tu empresa supera los umbrales de tamaño que fija el artículo 2. Cómo comprobarlo.

ISO 27001 es recomendable, aunque no obligue por sí sola, si necesitas demostrar madurez de seguridad a clientes o socios, manejas datos sensibles, o participas en licitaciones que la exigen como requisito contractual.

Si ya tienes ISO 27001 implantado, el camino más razonable no es asumir un porcentaje de cobertura, sino hacer un análisis de brecha específico frente a los artículos 20, 21 y 23 de NIS2, centrado en las tres diferencias documentadas arriba.

Sobre la certificación ISO 27001

Un certificado ISO 27001 tiene un ciclo habitual de tres años con auditorías de seguimiento anuales, conforme al esquema general de acreditación de organismos certificadores de sistemas de gestión (ISO/IEC 17021-1); el organismo certificador concreto y su alcance de acreditación deben figurar en el propio certificado. Esa validez de tres años es una característica del esquema de certificación ISO, no un requisito de NIS2: NIS2 no otorga ni exige ningún “certificado NIS2” equivalente, sino que impone obligaciones legales directas y sujetas a supervisión por la autoridad competente que cada Estado designe.

Preguntas Frecuentes sobre NIS2 e ISO 27001

¿Una certificación ISO 27001 cubre el 70-80 % de NIS2?

No hay fuente oficial que fije ese porcentaje. ENISA relaciona controles de ISO/IEC 27001:2022 con requisitos de NIS2 en su guía técnica de 2025, pero advierte que esa correspondencia no equivale a una medida de cobertura.

¿A quién notifico un incidente significativo si tengo ISO 27001?

ISO 27001 no exige notificar a ninguna autoridad externa. NIS2 sí lo exige (art. 23), pero en España el canal y la autoridad concretos dependen de la ley de transposición, aún no publicada a 25 de septiembre de 2026.

¿Necesito una consultora para cumplir NIS2 si ya tengo ISO 27001?

Depende del tamaño y madurez de tu empresa, y de si ya cubres las diferencias reales documentadas (notificación a autoridad, cadena de suministro, gobernanza de la dirección).

Conclusión

ISO 27001 y NIS2 comparten enfoque de gestión de riesgos, pero uno es un estándar voluntario certificable y el otro una obligación legal con sanciones propias (art. 34). No hay una cifra oficial de cuánto cubre el primero del segundo. Lo verificable es la lista concreta de diferencias —notificación a autoridad, cadena de suministro, responsabilidad de la dirección— y esas son las que conviene auditar primero si ya tienes el SGSI implantado.

Artículos Relacionados

• ¿Qué es la Directiva NIS2 y Cómo Afecta a tu PYME?
• Checklist NIS2: las áreas del artículo 21
• Gestión de Incidentes y NIS2: Qué Dice el Artículo 23
• Multas y Sanciones NIS2: Qué Fija la Directiva y Qué Depende de España

Fuentes oficiales

• Directiva (UE) 2022/2555 (NIS2), artículos 2, 20, 21 y 23, en EUR-Lex
• ENISA — Technical Implementation Guidance on cybersecurity risk-management measures (junio 2025), mapeo a ISO/IEC 27001:2022
• ISO — ISO/IEC 27001 Information security management
• Departamento de Seguridad Nacional: anteproyecto de ley de transposición
• Comisión Europea, paquete de infracciones de julio de 2026: remisión de España al TJUE por NIS2